CentOS虚拟机iptables流量转发异常：Arch主机无法ping通172.0.0.0/8

让我们一步步拆解你的问题，先理清楚环境：你的CentOS虚拟机有两个网络接口——一个是华硕路由器分配的LAN口（192.168.1.173，这也是你能从Arch主机SSH访问的地址），另一个是VirtualBox的NAT口（对应172.0.0.0/8网段）。你已经配置了iptables转发规则，主机也加了指向虚拟机的172段路由，但ping不通这个网段。下面是几个关键排查点和解决思路：

1. 确认虚拟机NAT接口的基础配置 #

首先得确保VirtualBox分配的NAT接口在虚拟机里是正常工作的：

• 在CentOS虚拟机执行 ip addr show，找到NAT对应的网卡（通常是enp0s3这类命名），确认它已获取到172.x.x.x段的IP，并且状态标记为UP。
• 如果没拿到IP，检查VirtualBox的NAT设置是否开启DHCP（默认是启用的），也可以手动给NAT接口配置静态IP（比如172.17.0.2/24，对应VirtualBox NAT的默认网段）。

2. 验证iptables转发规则的完整性 #

你提到已经设置了iptables规则，但可能漏了内核转发开关或SNAT配置：

• 先确认内核IP转发是否开启：执行 sysctl net.ipv4.ip_forward，如果输出是net.ipv4.ip_forward = 0，临时开启用 sysctl -w net.ipv4.ip_forward=1，要永久生效就编辑/etc/sysctl.conf，添加net.ipv4.ip_forward=1后重启系统或执行sysctl -p。
• 检查FORWARD链是否允许两个接口的双向流量：

  # 允许LAN接口到NAT接口的转发
  iptables -A FORWARD -i <LAN网卡名> -o <NAT网卡名> -j ACCEPT
  # 允许NAT接口返回LAN接口的关联/已建立流量
  iptables -A FORWARD -i <NAT网卡名> -o <LAN网卡名> -m state --state RELATED,ESTABLISHED -j ACCEPT
  

  替换<LAN网卡名>为虚拟机连接华硕路由器的网卡（比如enp0s8），<NAT网卡名>为VirtualBox NAT对应的网卡。
• 必须配置SNAT让172段流量能正确返回主机：

  iptables -t nat -A POSTROUTING -o <NAT网卡名> -s 192.168.1.0/24 -j MASQUERADE
  

  这里的192.168.1.0/24是你的Arch主机所在网段（毕竟主机能SSH到192.168.1.173，说明主机在这个网段）。

3. 确认主机路由的正确性 #

你在Arch主机添加的172段路由，要确保下一跳指向虚拟机的LAN口IP：

• 执行 ip route show，查看172.0.0.0/8的路由条目，应该是类似172.0.0.0/8 via 192.168.1.173 dev <主机网卡名>。
• 如果路由的下一跳不对或者网卡选错了，重新添加：

  ip route add 172.0.0.0/8 via 192.168.1.173 dev <你的主机网卡名>
  

  主机网卡名可以用ip addr show查看，有线通常是enp0s3，无线是wlan0这类。

4. 检查防火墙对ICMP流量的限制 #

ping用的是ICMP协议，很可能被防火墙拦截：

• 在CentOS虚拟机检查iptables或firewalld是否阻止ICMP请求：
  • 用iptables的话，执行iptables -L INPUT，如果有拒绝ICMP的规则，添加允许：iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
  • 用firewalld的话，执行firewall-cmd --add-icmp-block=echo-request --permanent，然后firewall-cmd --reload
• 同样检查Arch主机的防火墙（比如ufw或iptables），确保允许172段的ICMP出入和转发流量。

5. 先验证虚拟机自身到172段的连通性 #

在CentOS虚拟机里ping一个172段的地址（比如VirtualBox NAT网关通常是172.17.0.1），如果虚拟机自己都ping不通，那问题出在虚拟机的NAT接口配置，而不是转发或路由。

按照上面的步骤逐一排查，应该能快速定位到问题所在。

内容的提问来源于stack exchange，提问作者Adiqq